Abbiamo raccolto e analizzato un insieme di casi reali di email di truffa e/o con link sospetti
L'utilizzo di link malevoli all’interno di email, messaggi negli account social e sms, volto all'installazione di malware, è oggi un fenomeno così frequente che chiunque riceve quotidianamente posta catalogabile come “mail phishing”, "spam" o "tentativo di truffa".
Ma cosa rende un’azienda più a rischio di essere vittima di una campagna di mail phishing o di un attacco malware?
Stando al Rapporto Clusit 2023 sulla Sicurezza ICT in Italia, "il 64% degli incidenti nel mondo è causato da azioni maldestre o poco accorte del personale informatico o degli utenti aziendali".
In particolare, il Comitato Scientifico di Clusit osserva che spesso in Italia gli attacchi “sono favoriti dalla limitata capacità di difesa delle vittime [...]. Malware, phishing, vulnerabilità, ingegneria sociale, cracking degli account sono ancora le tecniche più utilizzate dai cyber criminali. Questo significa che non sappiamo ancora gestire correttamente i nostri account, non teniamo aggiornati i nostri dispositivi, server o servizi e clicchiamo incautamente link pericolosi nelle email”.
In generale, nel 2022 l’Italia è risultata in forte crescita per quanto riguarda l’aumento di attacchi informatici, come si evidenzia nel grafico.
Al contempo, è in aumento l’utilizzo di link malevoli per veicolare attacchi informatici: utilizzano questa tecnica il 60% delle campagne di phishing e il 40% degli attacchi volti alla diffusione di malware.
Inducendo l’utente a cliccare su un link all’apparenza innocuo, i cyber-criminali lo conducono su siti compromessi. La sempre maggior sofisticatezza degli attacchi li rende più difficili da bloccare da parte dei comuni sistemi antivirus e antimalware, e più difficili da individuare da parte degli utenti aziendali.
Per aiutarti a riconoscere le email truffa prima di cliccare su link malevoli abbiamo redatto una raccolta delle casistiche più frequenti, partendo da esempi reali di email e messaggi social.
Vediamo insieme come sono strutturati e quali elementi dovrebbero far scattare il campanello d’allarme per riconoscere una email di phishing prima di mettere a rischio la rete aziendale.
Esempio 1 - La riproduzione fedele di un'email da mittente noto
É uno dei casi più insidiosi: il mittente è conosciuto (spesso un fornitore, o un partner commerciale), il servizio cui fa riferimento è realmente in uso da parte del destinatario e il contenuto riproduce fedelmente un messaggio standard già ricevuto in precedenza, come in questo esempio.
Come riconoscere che è un’email di phishing contenente un link ingannevole?
- Verifica l’indirizzo email: il nome del mittente è quello di un soggetto noto, ma visualizzando l’intero indirizzo email si nota che quest’ultimo non è correlato al nome, che il dominio non corrisponde a quello dell'azienda e che l'indirizzo è diverso da quello da cui provengono normalmente le comunicazioni.
- Visualizza l’url di destinazione: spostati con il puntatore del mouse sul pulsante o sul link senza cliccare, l'url di destinazione apparirà in basso a sinistra. Se questo non ha nulla a che vedere con il contenuto del messaggio, con il testo del link o con il sito reale del mittente, si tratta di phishing.
- Attenzione all’urgenza. Nel caso in questione, il sollecito è arrivato a ridosso della presunta scadenza. Le email di phishing puntano spesso sulla leva dell'urgenza per indurre l’utente a cliccare subito sul link. Prima di cliccare su un pulsante che invita a rinnovare un servizio o un abbonamento, ti consigliamo di verificare nei registri aziendali la scadenza effettiva.
Esempio 2 - Email Phishing che riproduce un messaggio automatico
Spesso le truffe via email si presentano come avvisi generati automaticamente da uno strumento collegato al nostro sito, al nostro account di posta o ad altre risorse informatiche aziendali.
In questo caso, la comunicazione (che sembra provenire dal gestore della posta elettronica) invita a confermare la proprietà dell’account stesso.
Come puoi riconoscere che è un’email di truffa?
- Visualizza l’indirizzo email: in questo caso, il nome mittente è composto da “dominio aziendale + Support”, ma l’indirizzo email non è correlato.
- Url di destinazione del pulsante / link: anche in questo caso, rimanendo per qualche secondo con il cursore del mouse sopra al pulsante, l’url di destinazione che appare in basso sulla schermata è identificabile come spam.
- Leva dell’urgenza: anche qui si minacciano limitazioni a stretto giro (“oggi” e “entro 48 ore”)
- Doppia lingua nel corpo del messaggio: salta all’occhio l’utilizzo della lingua inglese per incipit e saluti, mentre la parte centrale del messaggio è in italiano.
Esempio 3 - Phishing sui Social Network attraverso notifiche su account aziendali
Chi gestisce una pagina sui social sa quanto siano confuse le linee guida e le indicazioni sugli standard di Meta e quanto sia facile imbattersi in violazioni delle stesse, spesso ingiustificate.
Pertanto una notifica simile a quelle sotto riportate potrebbe non destare particolari sospetti:
Come puoi riconoscere il phishing sui social network?
- Innanzitutto, ricorda che Meta non comunica con i gestori degli account o delle pagine attraverso notifiche in app, o attraverso email, ma con avvisi in homepage che appaiono quando si è già loggati, e pertanto non richiedono di identificarti nuovamente inserendo nome utente e password.
- Il link, pur accorciato con un servizio molto diffuso, porta fuori da Facebook (puoi verificarlo rimanendo per qualche secondo con il cursore del mouse sopra al link: l’url di destinazione apparirà in basso sulla schermata).
- Il mittente "Social Network Registry Corporation" non fa capo ad alcun reale servizio o ente associato a Meta (basta una veloce ricerca su Google per verificarlo!).
Esempio 4 - Email collegate a comunicazioni interne con utenti noti
Talvolta le email di phishing si ricollegano a conversazioni realmente avvenute attraverso l’account di posta con un contatto noto.
In casi come questo, ciò che trae in inganno è il contesto noto nel quale si inserisce la mail di spam: oggetto, nomi e parte della conversazione riportata nella testo sono reali e la firma in calce è esattamente quella del nostro abituale contatto.
Come puoi riconoscere che è un’email di phishing contenente un link ingannevole?
- Verifica l’indirizzo email: in questo messaggio, l'indirizzo differisce da quello abituale del mittente.
- Visualizza l’url di destinazione: il link stesso riportato nella mail è inusuale e scollegato dal messaggio, pertanto è un campanello di allarme.
- Errori grammaticali e di battitura: la prima parte del testo riporta diversi errori, spesso indice dell’utilizzo di traduttori automatici.
In questo caso, oltre ad evitare di cliccare sul link, sarà opportuno segnalare al contatto l’attività di spam, trattandosi probabilmente di una violazione del suo account di posta.
Mail Phishing: ulteriori strumenti per difendersi
Talvolta il controllo dell’indirizzo email del mittente e dell’url di destinazione non sono sufficienti a dipanare ogni dubbio. Nel caso dell’indirizzo, gli spammer sono in grado di falsificarlo attraverso il cosiddetto email spoofing. Gli url di destinazione, invece, possono essere mascherati semplicemente utilizzando un servizio che genera URL abbreviati.
Cosa fare, dunque, se rimane il dubbio sulla legittimità di un’email?
- Per scovare un link dannoso, possiamo utilizzare un servizio che rivela la reale destinazione di un link abbreviato, come Checkshorturl.com.
- Utilizzare un servizio online di scansione del link, in grado di rilevare la bontà o meno di un sito web (come ad esempio VirusTotal).
Lo sai qual è la più grande minaccia alla sicurezza informatica nella tua azienda? Le persone!
Scopri come migliorare la formazione nella tua azienda.
Come abbiamo visto, l’anello debole della cybersecurity è l’essere umano: sono gli individui che utilizzano i dispositivi aziendali a cliccare link malevoli, scaricare allegati da fonti sconosciute, rivelare inavvertitamente informazioni sensibili e dati di accesso a fonti esterne.
Poiché queste azioni sono quasi sempre non intenzionali, ma frutto di scarsa consapevolezza, il primo consiglio rimane quello di educare le persone in azienda, affinché siano in grado di evitare le minacce più diffuse.
Vuoi fare un test gratuito per testare la preparazione individuale in materia di minacce aziendali? Prova gratuitamente il quiz realizzato da Google.
Ovviamente è solo una "introduzione": se sei interessato ad un percorso mirato, puoi considerare un servizio di formazione sulla sicurezza informatica costruito sulle esigenze specifiche del personale nella tua azienda.
È un percorso che, partendo dalla simulazione di campagne di phishing sul team aziendale, testa la preparazione dei singoli utenti e, sulla base dei risultati ottenuti, somministra ove necessario una formazione ad personam attraverso quiz e video, allo scopo di colmare le lacune in termini di cybersecurity ed educare a riconoscere mail phishing, link ingannevoli e altre minacce.
È una soluzione consigliata e adatta a chiunque voglia imparare a riconoscere e difendersi dalle minacce del web.
